[發(fā)明專利]EL表達(dá)式注入漏洞檢測(cè)方法、裝置及電子設(shè)備

在審

• 申請(qǐng)?zhí)枺?/td>: 201710788259.0
• 申請(qǐng)日: 2017-09-04
• 公開（公告）號(hào): CN107590387A
• 公開（公告）日: 2018-01-16
• 發(fā)明（設(shè)計(jì)）人: 王梓嬙;范淵;黃進(jìn)
• 申請(qǐng)（專利權(quán)）人: 杭州安恒信息技術(shù)有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56;G06F21/57
• 代理公司: 北京超凡志成知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙)11371
• 代理人: 徐彥圣

1.一種EL表達(dá)式注入漏洞檢測(cè)方法，其特征在于，包括：

獲取待檢測(cè)網(wǎng)頁(yè)的目標(biāo)檢測(cè)參數(shù)；

構(gòu)造所述目標(biāo)檢測(cè)參數(shù)對(duì)應(yīng)的EL表達(dá)式；所述EL表達(dá)式中包括可執(zhí)行的檢測(cè)語句；

根據(jù)所述EL表達(dá)式以及所述待檢測(cè)網(wǎng)頁(yè)的URL，生成新的URL；

基于所述新的URL，獲取新的網(wǎng)頁(yè)內(nèi)容；

判斷所述新的網(wǎng)頁(yè)內(nèi)容中是否包含所述EL表達(dá)式的執(zhí)行結(jié)果；

如果是，則判斷所述待檢測(cè)網(wǎng)頁(yè)存在EL表達(dá)式注入漏洞。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述獲取待檢測(cè)網(wǎng)頁(yè)的目標(biāo)檢測(cè)參數(shù)，包括：

獲取待檢測(cè)網(wǎng)頁(yè)的URL；

從所述URL中檢索出位于第一目標(biāo)字符之后的目標(biāo)表達(dá)式，其中，所述第一目標(biāo)字符為用于表示問號(hào)的字符，所述目標(biāo)表達(dá)式的數(shù)量至少為一個(gè)，且在每個(gè)所述目標(biāo)表達(dá)式中均包括第二目標(biāo)字符，所述第二目標(biāo)字符為用于表示等號(hào)的字符；

從每個(gè)所述目標(biāo)表達(dá)式中提取出位于所述第二目標(biāo)字符之前的字符，作為所述目標(biāo)檢測(cè)參數(shù)，得到至少一個(gè)目標(biāo)檢測(cè)參數(shù)。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述構(gòu)造所述目標(biāo)檢測(cè)參數(shù)對(duì)應(yīng)的EL表達(dá)式，包括：

獲取隨機(jī)生成的多個(gè)數(shù)字；

將所述多個(gè)數(shù)字進(jìn)行數(shù)學(xué)運(yùn)算組合，得到表達(dá)式A；

基于所述表達(dá)式A構(gòu)造所述EL表達(dá)式，其中，所述EL表達(dá)式的表達(dá)方式為：${A}。

4.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述根據(jù)所述EL表達(dá)式以及所述待檢測(cè)網(wǎng)頁(yè)的URL，生成新的URL，包括：

在每個(gè)所述目標(biāo)表達(dá)式中，檢索出位于所述第二目標(biāo)字符之后的目標(biāo)字符；

利用所述EL表達(dá)式對(duì)所述目標(biāo)字符進(jìn)行替換，生成所述新的URL。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述基于所述新的URL，獲取新的網(wǎng)頁(yè)內(nèi)容，包括：

根據(jù)所述新的URL，向所述待檢測(cè)網(wǎng)頁(yè)的服務(wù)器發(fā)送HTTP請(qǐng)求；

接收所述服務(wù)器對(duì)所述HTTP請(qǐng)求的響應(yīng)內(nèi)容，并基于所述響應(yīng)內(nèi)容得到所述新的網(wǎng)頁(yè)內(nèi)容。

6.一種EL表達(dá)式注入漏洞檢測(cè)裝置，其特征在于，包括：

參數(shù)獲取單元，用于獲取待檢測(cè)網(wǎng)頁(yè)的目標(biāo)檢測(cè)參數(shù)；

表達(dá)式構(gòu)造單元，用于構(gòu)造所述目標(biāo)檢測(cè)參數(shù)對(duì)應(yīng)的EL表達(dá)式；所述EL表達(dá)式中包括可執(zhí)行的檢測(cè)語句；

URL生成單元，用于根據(jù)所述EL表達(dá)式以及所述待檢測(cè)網(wǎng)頁(yè)的URL，生成新的URL；

網(wǎng)頁(yè)內(nèi)容獲取單元，用于基于所述新的URL，獲取新的網(wǎng)頁(yè)內(nèi)容；

漏洞判斷單元，用于判斷所述新的網(wǎng)頁(yè)內(nèi)容中是否包含所述EL表達(dá)式的執(zhí)行結(jié)果；如果是，則判斷所述待檢測(cè)網(wǎng)頁(yè)存在EL表達(dá)式注入漏洞。

7.根據(jù)權(quán)利要求6所述的裝置，其特征在于，所述參數(shù)獲取單元包括：

URL獲取模塊，用于獲取待檢測(cè)網(wǎng)頁(yè)的URL；

檢索模塊，用于從所述URL中檢索出位于第一目標(biāo)字符之后的目標(biāo)表達(dá)式，其中，所述第一目標(biāo)字符為用于表示問號(hào)的字符，所述目標(biāo)表達(dá)式的數(shù)量至少為一個(gè)，且在每個(gè)所述目標(biāo)表達(dá)式中均包括第二目標(biāo)字符，所述第二目標(biāo)字符為用于表示等號(hào)的字符；

提取模塊，用于從每個(gè)所述目標(biāo)表達(dá)式中提取出位于所述第二目標(biāo)字符之前的字符，作為所述目標(biāo)檢測(cè)參數(shù)，得到至少一個(gè)目標(biāo)檢測(cè)參數(shù)。

8.根據(jù)權(quán)利要求6所述的裝置，其特征在于，所述表達(dá)式構(gòu)造單元包括：

數(shù)字獲取模塊，用于獲取隨機(jī)生成的多個(gè)數(shù)字；

數(shù)字組合模塊，用于將所述多個(gè)數(shù)字進(jìn)行數(shù)學(xué)運(yùn)算組合，得到表達(dá)式A；

表達(dá)式構(gòu)造模塊，用于基于所述表達(dá)式A構(gòu)造所述EL表達(dá)式，其中，所述EL表達(dá)式的表達(dá)方式為：${A}。

9.一種電子設(shè)備，包括存儲(chǔ)器、處理器，所述存儲(chǔ)器上存儲(chǔ)有可在所述處理器上運(yùn)行的計(jì)算機(jī)程序，其特征在于，所述處理器執(zhí)行所述計(jì)算機(jī)程序時(shí)實(shí)現(xiàn)上述權(quán)利要求1至5任一項(xiàng)所述的方法的步驟。

10.一種具有處理器可執(zhí)行的非易失的程序代碼的計(jì)算機(jī)可讀介質(zhì)，其特征在于，所述程序代碼使所述處理器執(zhí)行所述權(quán)利要求1至5任一項(xiàng)所述的方法。